Informationen zum Sicherheitsinhalt von Safari 5.0.2 und Safari 4.1.2

In diesem Dokument wird der Sicherheitsinhalt von Safari 5.0.2 und Safari 4.1.2 beschrieben.

Zum Schutz unserer Kunden werden Sicherheitsprobleme von Apple erst dann bekannt gegeben, diskutiert und bestätigt, wenn eine vollständige Untersuchung stattgefunden hat und alle erforderlichen Patches oder Programmversionen verfügbar sind. Nähere Informationen zur Apple-Produktsicherheit findest du auf der Website zur Apple-Produktsicherheit.

Informationen zum Apple-PGP-Schlüssel für die Produktsicherheit findest du unter „Verwenden des PGP-Schlüssels für die Apple-Produktsicherheit“.

Nach Möglichkeit werden zur vereinfachten Bezugnahme auf die Schwachstellen CVE-IDs verwendet.

Informationen zu weiteren Sicherheitsupdates findest du unter „Apple-Sicherheitsupdates“.

Safari 5.0.2 und Safari 4.1.2

• Safari

  CVE-ID: CVE-2010-1805

  Verfügbar für: Windows 7, Vista, XP SP2 oder neuer

  Auswirkung: Das Öffnen einer Datei in einem Verzeichnis, in das von anderen Benutzern geschrieben werden kann, kann zur Ausführung von willkürlichem Code führen.

  Beschreibung: In Safari gibt es ein Suchpfadproblem. Wenn der Speicherort einer heruntergeladenen Datei angezeigt wird, startet Safari Windows-Explorer, ohne einen vollständigen Pfad zu der ausführbaren Datei anzugeben. Das Starten von Safari durch Öffnen einer Datei in einem speziellen Verzeichnis wird dieses Verzeichnis in den Suchpfad eingeschlossen. Durch den Versuch, den Speicherort einer heruntergeladenen Datei anzuzeigen, wird möglicherweise eine in diesem Verzeichnis enthaltene Anwendung ausgeführt, was zur Ausführung von willkürlichem Code führen kann. Dieses Problem wird durch Verwendung eines expliziten Suchpfads beim Starten von Windows-Explorer behoben. Mac OS X-Systeme sind nicht von diesem Problem betroffen. Wir danken Simon Raner von ACROS Security für die Meldung dieses Problems.

• WebKit

  CVE-ID: CVE-2010-1807

  Verfügbar für: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 oder neuer, Mac OS X Server v10.6.2 oder neuer, Windows 7, Vista, XP SP2 oder neuer

  Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung von beliebigem Code führen.

  Beschreibung: Es gibt ein Eingabeüberprüfungsproblem bei der Verarbeitung von Fließpunkt-Datentypen in WebKit. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Problem wurde durch eine verbesserte Verarbeitung von Fließkommawerten behoben. Danke an Luke Wagner von Mozilla für die Meldung dieses Problems.

• WebKit

  CVE-ID: CVE-2010-1806

  Verfügbar für: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 oder neuer, Mac OS X Server v10.6.2 oder neuer, Windows 7, Vista, XP SP2 oder neuer

  Auswirkung: Der Besuch einer in böswilliger Absicht erstellten Website kann zu einer unerwarteten Beendigung der Anwendung oder zur Ausführung von beliebigem Code führen.

  Beschreibung: Beschreibung: Bei der Verarbeitung von Elementen mit Run-in-Option in WebKit kommt es zu einem Use-after-free-Problem. Der Besuch einer in böswilliger Absicht erstellten Website kann zu einem unerwarteten Programmabbruch oder zur Ausführung willkürlichen Codes führen. Dieses Problem wird durch eine verbesserte Handhabung von Objektzeigern gelöst. Wir danken wushi von team509 in Zusammenarbeit mit der Zero Day Initiative von TippingPoint für die Meldung dieses Problems.